CN104394164A

CN104394164A - 基于会话和协议识别https端口数据的方法

Info

Publication number: CN104394164A
Application number: CN201410731779.4A
Authority: CN
Inventors: 金琥
Original assignee: Individual
Current assignee: Individual
Priority date: 2014-12-06
Filing date: 2014-12-06
Publication date: 2015-03-04

Abstract

基于会话和协议识别HTTPS端口数据的方法。系统捕获HTTPS端口的数据包，并根据IP地址和端口建立会话连接表。当数据包到达检测系统时：1、系统检查维护会话连接表，如果没有记录，则增加记录；如果是RST、FIN数据包或者连接超时则从会话连接表中删除记录。2、系统检查数据包内容并判断会话连接是否符合标准SSL/TLS协议（是否为SSL/TLSRecordProtocol格式，是否通过SSL/TLSHandshakeProtocol建立连接）；如果符合则标记该会话为HTTPS协议数据，否则标记为非HTTPS协议数据。使用本发明可以识别HTTPS协议数据和非HTTPS协议数据并对其实行差别服务，或阻止非HTTPS协议数据穿透HTTPS端口。

Description

基于会话和协议识别HTTPS端口数据的方法

技术领域

本发明属计算机网络技术领域，是一种区分HTTPS协议数据和非HTTPS协议数据的方法。

背景技术

随着互联网技术的发展，如何控制内网用户访问互联网已经成了网络管理的重点。传统的网络管理以端口来区分各种网络服务，通过开放或关闭某些端口来实现外网访问的控制。HTTPS协议是HTTP协议和SSL/TLS协议的组合，用以提供加密通讯及对网络服务器身份的鉴定。HTTPS协议经常被用于网上的交易支付和敏感信息的传输，很多银行网站或电子邮箱等安全级别较高的服务都会采用HTTPS协议。HTTPS协议默认端口为TCP 443。鉴于HTTPS端口一般是开放的，各类软件纷纷借用HTTPS端口与外部建立连接。传统防火墙使用的端口控制方法已经无法应对HTTPS端口穿透技术，未经授权的外网访问严重威胁着内部网络的安全。

发明内容

本发明的目的在于提出一种区分HTTPS协议数据和非HTTPS协议数据的方法，使用本发明可以识别HTTPS协议数据和非HTTPS协议数据并对其实行差别服务，或阻止非HTTPS协议数据穿透HTTPS端口。

为了方便叙述，首先将本发明涉及的常用术语和标记介绍如下：

1. SrcIP、SrcPort、DstIP、DstPort：分别表示源IP、源端口、目标IP、目标端口;

2. 会话（Session）：客户端与服务器一次连接过程中的所有信息数据;

3. 会话连接表（Session Table）：用于保存多个会话的数据表，通常可采用哈希表。

HTTPS端口数据检测原理：

HTTPS（Hypertext Transfer Protocol Secure）是超文本传输协议（HTTP）和SSL/TLS的组合。根据RFC 2818（HTTP Over TLS）的描述，HTTPS协议是建立在SSL/TLS之上的安全版HTTP协议。SSL/TLS协议分为两层。SSL/TLS记录协议（SSL/TLS Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL/TLS握手协议（SSL/TLS Handshake Protocol）：它建立在SSL/TLS记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

由于HTTPS是加密协议，我们无法解密其中传输的数据内容。但HTTPS是SSL/TLS对HTTP协议的封装，它必须遵守SSL/TLS协议标准。因此我们可以用一种简单的方法来判断经过HTTPS端口的数据是否为HTTPS协议数据：符合SSL/TLS协议标准的为HTTPS协议数据，不符合SSL/TLS协议标准的为非HTTPS协议数据。

如果是标准HTTPS协议数据，其遵从SSL/TLS协议标准。客户端和服务端的通信数据均采用SSL/TLS记录协议格式，双方在数据传输开始前必须通过SSL/TLS握手协议建立连接。

非HTTPS协议数据则采用私有协议，其不遵从SSL/TLS协议标准。客户端和服务端的通信数据不是SSL/TLS记录协议格式，双方在数据传输开始前也没有通过SSL/TLS握手协议建立连接。

根据这些差别，我们可以通过检查一条会话连接是否为SSL/TLS Record Protocol格式、是否通过SSL/TLS Handshake Protocol建立连接，来判断该会话是HTTPS协议会话还是非HTTPS协议会话。

附图说明

图1为本发明系统网络部署方式图。

图2为本发明系统会话连接表维护处理流程图。

图3为SSL/TLS Record Protocol格式。

图4为SSL/TLS Handshake Protocol连接过程。

图5为本发明系统对客户端数据包检测流程图。

图6为本发明系统对服务端数据包检测流程图。

具体实施方式

下面结合附图对本发明做进一步的详细介绍。

系统网络部署方式：

参见图1，本发明系统通常部署在局域网连接互联网的出口网关处，从网络中捕获指定端口的数据包。该端口一般为TCP 443，必要时也可以指定或者增加其他端口。

会话连接表的维护：

参见图2，系统从网络中捕获到指定端口数据包，从数据包中提取SrcIP、DstIP、SrcPort、DstPort等信息，与会话连接表中已有的项目进行对比。如果会话连接表中不存在该会话记录，则新增本次会话信息到会话连接表中。如果已经存在该会话连接记录，则更新会话最后活动时间。当收到会话结束数据包(TCP RST、TCP FIN)或者会话超时则从会话连接表中删除本次会话信息。

会话协议检测方法：

检测的标准在于判断会话数据格式是否符合SSL/TLS Record Protocol格式，客户端与服务端会话是否通过SSL/TLS Handshake Protocol建立连接。如果符合即可判断该会话为HTTPS协议会话，否则为非HTTPS协议会话。

参见图3，SSL/TLS Record Protocol格式如图，其结构定义如下：

struct {

ContentType type;

ProtocolVersion version;

uint16 length;

opaque fragment[SSLTLSRecord.length];

} SSLTLSRecord。

type：第1字节，表示记录类型。当前可能的类型有change_cipher_spec(0x14)，alert(0x15)，handshake(0x16)，application_data(0x17)。

version：第2至3字节，表示SSL/TLS协议版本。当前可能的版本有SSL 3.0(3.0)，TLS 1.0(3.1)，TLS 1.1(3.2)，TLS 1.2(3.3)。

length：第4至5字节，表示内容长度。

fragment：第6至(length+6)字节，表示数据内容，长度为length。fragment根据记录类型type的不同表示不同的内容。当记录类型type为handshake(0x16)时，表示握手协议。此时数据内容fragment的首字节为handshake type：0x01表示client hello，0x02表示server hello。

SSL/TLS协议格式的详细描述可参见RFC 6101、RFC 2246、RFC 4346、RFC 5246。

参见图4，SSL/TLS Handshake Protocol建立连接过程如图。客户端与服务端开始建立SSL/TLS连接时，首先由客户端发送client hello，服务端回应server hello开始握手协议。接着双方交换证书、密钥等信息。然后客户端发送client finished，服务端发送server finished结束握手协议。完成握手协议后客户端与服务端才开始加密数据的传输。

标准HTTPS协议会话都是以客户端发送client hello、服务端回应server hello开始通信。客户端发送的数据第1字节是handshake(0x16)，第2、3字节是SSL/TLS版本，第6字节是client hello(0x01)；服务端发送的数据第1字节是handshake(0x16)，第2、3字节是SSL/TLS版本，第6字节是server hello(0x02)。

典型的client hello数据内容头部格式如下：

0x16

0x03

0x01

…

典型的server hello数据内容头部格式如下：

0x16

0x03

0x02

…

如果不是以客户端发送client hello、服务端回应server hello开始通信，则可以判定为非HTTPS协议会话。

这里选择以一种高效的检测方式为例：通过检测会话数据前6个字节，来判断是否为HTTPS协议。但并不意味着本发明只能以此作为唯一检测方法。

1、客户端数据检测

参见图5，系统捕获到客户端发给服务端的会话数据，首先进行组包排序等操作。然后提取客户端数据内容第1字节（type）。如果type不是0x16，则判定该会话为非HTTPS协议会话。然后提取数据包内容第2-3字节（version）。如果version不是[0x03,0x00]、[0x03,0x01] 、[0x03,0x02] 或[0x03,0x03]，则判定该会话为非HTTPS协议会话。接着提取数据包内容第6字节（handshake type）。如果handshake type不为0x01（client hello），则判定该会话为非HTTPS协议会话，否则为HTTPS协议会话。

2、服务端数据检测

参见图6，系统捕获到服务端发给客户端的会话数据，首先进行组包排序等操作。然后提取服务端数据内容第1字节（type）。如果type不是0x16，则判定该会话为非HTTPS协议会话。然后提取数据包内容第2-3字节（version）。如果version不是[0x03,0x00]、[0x03,0x01] 、[0x03,0x02] 或[0x03,0x03]，则判定该会话为非HTTPS协议会话。接着提取数据包内容第6字节（handshake type）。如果handshake type不为0x02（server hello），则判定该会话为非HTTPS协议会话，否则为HTTPS协议会话。

在一次会话连接里，客户端数据和服务端数据是双向的。因此可选择只检测客户端数据，也可选择只检测服务端数据，还可以选择同时检测客户端数据和服务端数据。

以上实施例仅用于说明本发明而非限制。本领域的普通技术人员应当理解，对本发明修改变形或者等同替换，而不脱离本发明精神范围的，其均应涵盖在本发明的权利要求当中。

Claims

1.基于会话和协议识别HTTPS端口数据的方法，其包含以下步骤：

(1)初始化会话连接表；

(2)捕获HTTPS端口的数据包；

(3)分析数据包中的IP地址和端口信息，维护会话连接表中的会话状态；

(4)分析会话的数据内容，判断数据内容是否符合SSL/TLS Record Protocol格式，如果符合则标记该会话为HTTPS协议数据，否则标记为非HTTPS协议数据。

2.根据权利要求1的方法，所述步骤(4)判断会话是否符合SSL/TLS Record Protocol格式，其特征在于：检查客户端发给服务端的数据流第1个字节是否为handshake(0x16)。

3.根据权利要求1的方法，所述步骤(4)判断会话是否符合SSL/TLS Record Protocol格式，其特征在于：检查服务端发给客户端的数据流第1个字节是否为handshake(0x16)。

4.根据权利要求1的方法，所述步骤(4)判断会话是否符合SSL/TLS Record Protocol格式，其特征在于：检查客户端发给服务端的数据流第2至3字节是否为SSL/TLS协议已知版本。

5.根据权利要求1的方法，所述步骤(4)判断会话是否符合SSL/TLS Record Protocol格式，其特征在于：检查服务端发给客户端的数据流第2至3字节是否为SSL/TLS协议已知版本。

6.根据权利要求1的方法，所述步骤(4)判断会话是否符合SSL/TLS Record Protocol格式，其特征在于：检查会话是否通过SSL/TLS Handshake Protocol建立连接。

7.根据权利要求6的方法，所述检查会话是否通过SSL/TLS Handshake Protocol建立连接，其特征在于：检查客户端发给服务端的数据流第6字节是否为client hello(0x01)。

8.根据权利要求6的方法，所述检查会话是否通过SSL/TLS Handshake Protocol建立连接，其特征在于：检查服务端发给客户端的数据流第6字节是否为server hello(0x02)。